2026년 최고의 취약점 관리 서비스 제공업체 5곳

주요 내용

• Arctic Wolf, Critical Start, Rapid7이 스캔을 수행하는 반면, 패치 적용은 대개 귀사의 팀이 담당합니다.
• Optiv는 이미 스캔을 수행하고 있지만, 시정 계획과 이를 실행하기 위한 실질적인 도움이 필요한 팀에 적합합니다.
• TuxCare는 지원 종료된 보안 업데이트와 재부팅 없이 적용 가능한 커널 패치를 포함한 실질적인 수정 사항을 제공합니다.
• 무언가에 서명하기 전에, 각 패치를 누가 적용하는지, 그리고 패치가 실제로 적용되었는지 누가 확인하는지 물어보세요.

취약점 관리 서비스 제공업체를 검색해 보면, 결과에는 서로 매우 다른 네 가지 유형의 기업이 한데 묶여 나타납니다. 어떤 업체는 귀사의 팀이 직접 실행하는 소프트웨어를 판매하고, 어떤 업체는 귀사를 대신해 프로그램을 운영해 줍니다. 또 다른 업체들은 귀사가 보유한 시스템을 평가하고 재구축을 돕기도 하며, 일부 업체는 직접 수정 패치를 제공하기도 합니다.

아래에 소개된 5개의 서비스 제공업체는 단일 평가 기준에 따라 선정된 것이 아닙니다. 각 업체는 업무의 일부를 위임하는 서로 다른 방식을 대표하므로, 귀사의 팀이 감당할 수 없는 부분을 보완해 줄 수 있는 모델 내에서 비교하는 것이 유용합니다. 각 서비스 제공업체에 대해 어떤 서비스를 제공하는지, 서비스 범위가 어디까지인지, 그리고 요금은 어떻게 책정되는지 확인할 수 있습니다.

취약점 관리 서비스 제공업체의 역할

취약점 관리 서비스 제공업체는 보안 취약점을 발견하고, 우선순위를 정하며, 해결하는 업무의 일부를 대신 수행합니다. 이러한 업무 중 실제로 귀사가 처리해야 할 부분이 얼마나 되는지는 선택한 서비스 모델에 따라 다르며, 아래 표에는 각 모델별로 귀사 팀에 어떤 업무를 이관하는지 나와 있습니다.

모델	누가 스캔하나요?	누가 분류를 담당하나요?	누가 수정 사항을 적용하나요?	일반적인 계약서	예시
도구 공급업체	귀하의 팀	귀하의 팀	귀하의 팀	소프트웨어 구독은 대개 자산 단위로 가격이 책정됩니다.	Qualys, Tenable (본 문서에서는 다루지 않음)
관리형 서비스 제공업체 (VMaaS)	제공자	제공자	보통은 패치 옵션을 추가하지 않는 한, 귀하의 팀에서	IP, 자산 또는 서버를 기준으로 한 구독 범위	Arctic Wolf, Rapid7, Critical Start
평가 중심의 기업	참여도에 따라 다름	귀사의 팀과 협력하는 컨설턴트들	귀사의 팀, 또는 상위 등급의 컨설턴트들	프로젝트 또는 리테이너	Optiv
정화 협력사	스캐너	귀하의 팀	공급업체가 패치를 제공하면, 귀사의 팀이나 담당자가 이를 적용합니다.	시스템별 구독	TuxCare

Qualys나 Tenable과 같은 도구 공급업체들은 귀사의 팀이 직접 운영하는 플랫폼을 판매합니다. 일부 공급업체는 이러한 플랫폼을 관리형 서비스 형태로 제공하는데, Critical Start가 Qualys VMDR을 통해 제공하는 서비스가 바로 그것입니다.

Optiv와 같은 평가 중심 기업들은 다른 세 가지 모델과는 약간 다른 방식으로 운영됩니다. 이들은 고객의 프로그램을 검토하고, 개선 로드맵을 수립하며, 상위 단계에서는 실무 작업을 수행할 컨설턴트를 파견합니다. 취약점 평가 업체를 검색해 보셨다면, 아마도 여러분이 염두에 두었던 것이 바로 이 범주일 것입니다.

업무 명세서를 읽어보세요: 관리형 서비스에는 패치 적용이 자동으로 포함되지 않습니다. 여기에서 소개하는 서비스의 핵심 범위는 스캔, 우선순위 지정 및 지침 제공에 중점을 두고 있으며, 상위 등급이나 추가 기능을 구매하지 않는 한 수정 사항 적용은 귀사의 팀이 담당합니다. 각 패치를 누가 적용하고, 정상 작동 여부를 누가 확인하는지 문의하십시오. 더 광범위한 구분에 대해서는 패치 관리 대 취약점 관리가이드를 참조하십시오.

5개 제공업체를 한눈에 비교해 보기

이 표는 제공업체를 제공 모델별로 분류한 것입니다. 가격 열에는 각 제공업체가 공개한 가격이 표시되어 있는데, 보시다시피 그 금액이 그리 많지 않습니다.

제공자	모델	가장 적합한	누가 수정 사항을 적용하나요?	요금제
TuxCare	정화 협력사	수명이 다한 소프트웨어와 재부팅이 쉽지 않은 리눅스 호스트	귀사의 팀이나 담당자가 TuxCare에서 제공하는 패치를 적용합니다.	시스템별 구독
Optiv	평가 중심의 기업	스캐너는 도입했으나 문제 해결 프로그램이 정체된 조직	귀사의 팀, 또는 최상위 등급의 Optiv 컨설턴트	참여도별 분류
Arctic Wolf Aurora 취약점 관리	관리형 의료 제공자	감지 및 노출 단계 전반에 걸쳐 하나의 지정된 팀을 원하는 팀들	Resolve 애드온을 통해 지원되는 소프트웨어에 대한 지침을 제공하는 팀 지원 또는 자동 패치 적용	인용문 기반
중대한 시작 취약점 관리 서비스	도구 공급업체 플랫폼상의 관리형 서비스 제공업체	Qualys VMDR 서비스를 대행해 주기를 원하는 구매자	Critical Start의 패치 목록을 바탕으로 작업하는 귀사의 팀	인용문 기반, 3단계
Rapid7 관리형 취약점 관리	관리형 의료 제공자	스캔 작업과 월간 검토를 대행해 주기를 원하는 팀	우선순위가 지정된 지침이 제공되는 귀하의 팀	인용문 기반

TuxCare

TuxCare TuxCare는 다른 네 가지와 다른 범주에 속하므로, 그 점을 고려하여 평가해야 합니다. 이 서비스는 사용자를 대신해 스캔 및 분류 프로그램을 실행하지 않습니다. 이 서비스가 제공하는 것은 공급업체의 지원 종료 시한이 지났거나 호스트를 재부팅할 수 없는 등의 이유로 일반적인 경로를 통해 수정하기 어려운 소프트웨어에 대한 패치와 보안 업데이트입니다. 따라서 이 서비스는 문제 해결 파트너의 역할을 하며, 패치 적용 작업은 여전히 귀사의 팀이나 담당자가 직접 수행해야 합니다.

제공 내용

‘Endless Lifecycle Support’를 통해 지원 기간이 만료된 보안 업데이트 제공

무한 라이프사이클 지원(ELS) 는 공급업체의 표준 지원 주기가 종료된 후에도 운영 체제에 대한 보안 업데이트를 제공합니다. 동일한 모델이 언어 생태계, 런타임, 그리고 애플리케이션 에 대한 지원을 계속 제공합니다. 이는 많은 EOL 위험이 운영 체제(OS)가 아닌 종속성에 숨어 있기 때문에 중요한 사항입니다. 업데이트는 패키지 저장소를 통해 제공되므로, 팀이나 구성 도구를 통해 다른 업데이트와 마찬가지로 설치할 수 있습니다.

SecureChain을 통해 오픈소스 패키지 검토

아직 활발히 개발 중인 코드의 경우, SecureChain은 는 공개 레지스트리를 TuxCare가 관리하는 레지스트리로 대체하여, JavaScript, Python, Java, Go, Rust 및 PHP 전반에 걸쳐 검증되고 서명되었으며 지속적으로 패치되는 오픈 소스 패키지를 제공합니다. 패키지 관리자는 공개 레지스트리 대신 TuxCare 레지스트리를 참조하며, 종속성은 평소와 같은 방식으로 설치됩니다.

KernelCare를 이용한 라이브 커널 패치

KernelCare 는 재부팅 없이 실행 중인 리눅스 커널에 보안 패치를 적용하므로, 더 이상 유지보수 시간대에 맞춰 수정 사항을 적용해야 하는 부담이 사라집니다. LibCare 애드온은 라이브 패치 기능을 OpenSSL 및 glibc와 같은 공유 라이브러리까지 확장합니다. KernelCare는 주요 엔터프라이즈 리눅스 배포판를 아우르는 70개 이상의 리눅스 배포판 버전을 지원합니다. 여기에는 RHEL, CentOS, Ubuntu, CloudLinux, Proxmox VE, Oracle Linux, Amazon Linux 및 Debian이 포함됩니다. 지원 목록 에서 정확한 커널 버전을 확인하십시오.

요금제

TuxCare는 패치 적용 제품의 가격을 시스템 단위로 책정합니다. 견적을 비교할 때는 단위, 계약 기간 및 SLA 추가 옵션을 확인하고, TuxCare 팀과 TuxCare 팀에 확인하십시오.

제품	가격 책정 모델	현재 가격
KernelCare Enterprise	시스템당	TuxCare에 확인하십시오
무제한 라이프사이클 지원(ELS)	제품 라인에 따라 다름	TuxCare에 확인하십시오

TuxCare의 강점

라이브 패치 기능을 통해 재부팅이 불가능한 호스트의 취약점을 즉시 해결할 수 있으므로, 더 이상 유지보수 기간을 기다릴 필요가 없습니다. 지원이 중단된 소프트웨어도 하드웨어 교체, 예산 확보 또는 재인증 절차가 진행되는 동안 실질적인 보안 업데이트를 받을 수 있습니다. 또한, 해당 패치 제품은 사용자가 이미 사용 중인 스캐너와 연동되어 작동하므로, 이를 도입한다고 해서 기존 시스템을 완전히 교체해야 하는 것은 아닙니다.

TuxCare의 한계

TuxCare는 귀사의 프로그램을 소유하지 않습니다. 스캔 및 분류 작업은 귀사 팀이나 다른 공급업체가 직접 수행하며, 귀사를 대신해 업무를 처리하는 분석가 팀은 없습니다. 또한 지원 범위는 리눅스와 오픈소스 런타임, 언어, 애플리케이션에 중점을 두고 있습니다. Windows의 경우, 다음과 같은 선별된 런타임으로 제한됩니다. .NET 및 PHP와 같은 선별된 런타임으로 제한되므로, Windows 기반 환경이 주를 이루는 경우 더 광범위한 지원을 받으려면 다른 공급업체를 이용해야 합니다.

TuxCare는 어떤 분들에게 가장 적합할까요?

변경 기회가 드물어 조사 결과가 공개된 채로 남아 있는 플랫폼 리드들이 가장 빠르게 가치를 창출합니다. 수명이 다한 자산의 소유자들도 또 다른 명백한 대상이며, 이는 여전히 CentOS 7 에 머물러 있는 경우든, 수년 전에 지원이 종료된 런타임에 묶여 있는 서비스든 상관없이, 수명 종료 단계에 접어든 시스템의 소유자들도 또 다른 명백한 대상입니다. 또한 이미 문제를 발견했으나 이에 대한 지원되는 수정 사항이 전혀 없는 팀에게도 적합합니다.

Optiv

Optiv는 관리형 취약점 스캔 서비스를 자체 서비스로 제공하지만, 여기서 다루는 수정 서비스는 취약점 관리를 구축하거나 개선해야 할 프로그램으로 간주합니다. Optiv의 컨설턴트는 고객의 현재 상태를 파악하고, 작업의 우선순위를 정한 뒤, ‘발견’, ‘우선순위 지정’, ‘수정’, ‘검증’의 네 단계에 걸쳐 수정 과정을 안내합니다. 서비스의 심도 수준은 조정 가능합니다. 일회성 평가가 가장 가벼운 옵션이며, 가장 포괄적인 옵션은 Optiv 컨설턴트가 고객사의 팀에 직접 합류하는 방식입니다.

제공 내용

네 단계

디스커버리 단계에서는 취약점과 해당 자산의 담당자를 파악하여 기준선을 마련합니다. 우선순위 지정 단계에서는 발견된 항목을 위험도에 따라 순위를 매겨, 이를 삼분류 프로세스와 로드맵으로 전환합니다. 수정 단계에서는 Optiv가 실행할 서비스를 선택합니다. 이후 검증 단계에서는 결과를 확인하고 이를 귀사의 지표 및 KPI와 연계합니다.

자문 지원 단계

Optiv의 개선 조치 페이지에는 세 가지 단계가 나열되어 있습니다. ‘평가 및 계획(VMAP)’은 초기 워크숍, 개선 계획 수립, 특정 시점의 우선순위 설정을 포함합니다. ‘개선 자문(VRAS)’은 정기적인 계획 업데이트, 지속적인 우선순위 설정 및 추적, 프로그램 자문, KPI 보고를 추가하며, 이 모든 과정은 주간 고객 회의 중심으로 진행됩니다. ‘개선 자문 플러스(VRAS Plus)’는 실무 중심의 기술 지원과 업무 속도를 높이기 위한 추가 인력을 제공하며, 컨설턴트들은 고객사의 팀의 일원처럼 활동합니다.

플랫폼 배포 및 마이그레이션 지원

Optiv는 또한 취약점 관리 플랫폼의 배포, 구성 및 튜닝을 담당하며, 플랫폼 간 마이그레이션에 관한 자료도 공개한 바 있습니다. 도구 교체가 이미 귀사의 로드맵에 포함되어 있다면, 해당 작업은 동일한 프로젝트 범위 내에서 진행될 수 있습니다.

요금제

Optiv는 프로젝트 범위를 해당 업무에 맞춰 조정하므로, 가격은 등급과 필요한 작업량에 따라 달라집니다. 견적 산정 시 자산 수, 사업부 수, 기간 등이 어떻게 가정되었는지 문의하고, Optiv와 현재 계약 조건을 확인하시기 바랍니다.

제공	가격 책정 모델	현재 가격
평가 및 계획 (VMAP)	참여도별 분류	Optiv에 확인하십시오
정화 권고안 (VRAS)	참여도별 분류	Optiv에 확인하십시오
정화 자문 플러스 (VRAS Plus)	참여도별 분류	Optiv에 확인하십시오

Optiv의 강점

단계별 접근 방식을 사용하면 ‘이전’과 ‘이후’의 변화를 명확하게 파악할 수 있습니다. ‘발견(Discovery)’ 단계에서 기준선을 설정하고, ‘검증(Validation)’ 단계에서 이를 기준으로 성과를 측정하며, 이 둘 사이의 격차는 경영진에게 설명하기 쉬운 근거가 됩니다. 또한 평가 단계부터 소규모로 시작하여 프로그램이 성숙해짐에 따라 자문이나 실무 지원을 추가할 수 있으며, 동시에 배포, 튜닝, 마이그레이션 작업을 통해 플랫폼 측면을 처리할 수 있습니다.

Optiv의 부족한 점

가장 중요한 것은 조언입니다. 세 단계 중 두 단계는 계획 수립, 우선순위 설정 및 지침 제공에 중점을 두고 있으며, 실무 작업은 최상위 단계에서만 이루어집니다. 이러한 취약점 개선 서비스에는 일상적인 스캔 실행이 포함되지 않습니다. Optiv는 관리형 취약점 스캔 서비스를 별도로 판매하고 있으므로, 두 서비스를 함께 적용할 수 있는지 문의해 보시기 바랍니다. 규제 대상 구매자는 자사의 조달 절차에 필요한 보증 보고서 및 인증서가 무엇인지 Optiv에 직접 문의해야 합니다.

Optiv는 어떤 분들에게 가장 적합할까요?

이미 스캐너를 보유하고 있지만 줄지 않는 처리 대기 목록을 안고 있는 보안 담당자들이 가장 적합한 대상입니다. 플랫폼 마이그레이션을 계획 중인 팀은 프로그램 변경과 병행하여 도구 배포를 진행할 수 있는 파트너를 확보하게 됩니다. 경영진의 지시를 받는 관리자들은 무엇이 변경되었는지 보여주는 기준선, KPI, 검증된 결과를 확보할 수 있다는 점을 높이 평가할 것입니다.

Arctic Wolf Aurora 취약점 관리

Arctic Wolf는 2026년 5월, 자사의 ‘Managed Risk’ 서비스를 발전시킨 형태로 ‘Aurora Vulnerability Management’를 출시했으며, 따라서 ‘Managed Risk’라는 명칭으로 작성된 이전 리뷰들은 이전 버전을 다루고 있습니다. Aurora VM은 내부 및 외부 자산을 스캔하고, 위협 및 악용 가능성 맥락을 바탕으로 발견 사항을 순위화하며, 이 모든 결과를 Arctic Wolf의 컨시어지 보안 팀(CST)과 연계합니다. 또한 Arctic Wolf는 관리형 탐지 및 대응(MDR) 서비스도 제공하며, 이 두 서비스는 동일한 플랫폼을 공유할 수 있습니다.

제공 내용

전담 컨시어지 보안팀

CST는 해당 서비스와 관련하여 귀사가 주로 연락을 취하는 창구입니다. CST는 귀사의 위험 정책, 자산 중요도, 패치 적용 주기 및 서비스 수준 목표를 파악한 후, 어떤 문제를 우선적으로 해결해야 할지 순위를 매기는 데 도움을 줍니다. 중대한 위험이 발견될 경우, CST 팀은 지침을 제공하고 문제 해결 전 과정을 지원합니다.

네트워크, 엔드포인트 및 클라우드를 훑어보며

Aurora VM은 내부 및 외부 취약점 스캔, 자산 인벤토리, 소프트웨어 잘못된 구성 점검을 지원합니다. 엔드포인트에서는 Arctic Wolf 에이전트가 호스트 기반 점검 기능을 추가하여 CIS 벤치마크 스캔과 OVAL 기반 취약점 스캔을 실행하며, Linux도 지원합니다. 클라우드 보안 상태 점검 범위는 추가하는 Arctic Wolf 클라우드 서비스에 따라 달라지므로, 귀사의 계정에 어떤 항목이 포함되는지 문의하시기 바랍니다.

정화 지침 및 Resolve

분석 결과는 대시보드와 주문형 보고서가 포함된 포털을 통해 제공됩니다. 문제 해결 지원에는 AI 기반 안내, 사용자 정의 가능한 문제 해결 SLA, ITSM 통합, 그리고 수정 사항이 적용되었는지 확인하기 위한 재스캔 기능이 포함됩니다. 자동화된 패치 배포는 ‘Resolve’ 애드온을 통해 이루어지며, 이를 통해 팀은 Arctic Wolf 에이전트가 실행 중인 호스트에서 지원되는 타사 소프트웨어에 대한 패치를 예약하고 적용할 수 있습니다. 지원 소프트웨어 목록은 약 200개 항목에 달하며, 브라우저, PDF 리더, Office와 같은 거의 모든 데스크톱 애플리케이션이 포함됩니다. 대부분은 Windows용 소프트웨어이며, 12개 정도의 Linux 항목에는 Chrome, Firefox, LibreOffice, Zoom 등이 포함됩니다.

요금제

Arctic Wolf는 고객의 환경 규모와 선택한 서비스에 따라 Aurora VM의 가격을 책정합니다. 견적에 어떤 유닛이 포함되는지, Resolve가 포함되어 있는지, 그리고 탐지 서비스와 어떻게 번들로 제공되는지 문의한 후, Arctic Wolf에 현재 가격을 확인하시기 바랍니다.

계획	가격 책정 모델	현재 가격
오로라 취약점 관리	귀사의 환경에 맞춰 구성됨	Arctic Wolf에 확인하십시오
결의	Aurora 취약점 관리용 애드온	Arctic Wolf에 확인하십시오
관리형 탐지 및 대응 기능을 갖춘 Aurora 취약점 관리	탐지 서비스와 함께 제공됨	Arctic Wolf에 확인하십시오

‘아크틱 울프’의 강점

이 서비스의 가장 큰 장점은 CST에 있습니다. CST는 고객의 정책과 패치 적용 주기를 학습하므로, 고객은 이미 자사 환경을 잘 파악하고 있는 전문가들과 협력하게 됩니다. 단일 서비스에 대한 지원 범위가 넓을 뿐만 아니라, Resolve를 통해 자동화된 패치 배포를 위한 구체적인 절차를 문서화한 유일한 관리형 서비스 제공업체이기도 합니다. 또한 관리형 탐지 서비스를 고려 중이라면, Aurora VM을 통해 동일한 플랫폼과 팀을 공유할 수 있습니다.

‘아크틱 울프’의 부족한 점

Resolve를 사용하지 않더라도 지침과 워크플로를 제공받으며, 패치 배포는 여전히 팀에서 직접 수행합니다. Resolve를 사용하더라도 이 솔루션은 데스크톱 소프트웨어를 대상으로 하므로, 서버 패키지와 커널 업데이트는 여전히 귀사가 직접 처리해야 합니다. Arctic Wolf의 공개된 Aurora VM 페이지에는 가격 단위가 명시되어 있지 않아 초기 예산 책정이 까다롭습니다. 리눅스 관련 세부 사항도 직접 문의해야 합니다. 에이전트가 어떤 배포판을 지원하며, 해당 배포판에서 어떤 점검 작업을 수행하는지 물어보세요.

아크틱 울프가 누구에게 가장 적합한가

전담 보안 팀이 없는 IT 책임자들은 외부 분석가를 고용해 스캔을 수행하고, 어떤 부분을 우선적으로 수정해야 하는지 조언을 받습니다. 이미 관리형 탐지 서비스를 물색 중인 구매자들은 단일 공급업체와 단일 포털을 통해 두 가지 요구 사항을 모두 충족할 수 있으며, 하이브리드 환경을 운영하는 팀은 네트워크, 엔드포인트, 클라우드 전반에 걸쳐 단일 연락 창구를 확보할 수 있습니다.

중대한 시작 취약점 관리 서비스

Critical Start는 스캐너에서 시작됩니다. 이 서비스의 취약점 관리 기능은 Qualys VMDR에서 실행되며, Critical Start는 Qualys 라이선스를 제공하거나 고객이 이미 보유하고 있는 구독을 통해 서비스를 운영할 수 있습니다. 어느 쪽을 선택하든, 고객사의 팀은 플랫폼을 직접 구성하거나 관리할 필요가 없습니다. Critical Start는 2024년 8월에 정식 출시를 발표했습니다.

제공 내용

Qualys VMDR의 관리형 스캔

Critical Start의 분석가들은 운영 모니터링, 정기 스캔 및 분석 업무를 담당합니다. 스캔은 외부 및 내부 대상을 대상으로 하며, 환경에 따라 경량 에이전트나 원격 스캐너를 사용합니다. 또한 고객은 완전 관리형 스캔을 선택하거나 직접 스캔을 계속 실행할 수 있습니다.

우선순위 지정 및 패치 목록

이 서비스는 발견된 취약점을 위험도에 따라 순위를 매기고, 이를 공급업체별 및 타사 패치를 포함한 구체적인 패치 목록으로 변환하여, 귀사의 팀이 무엇을 어디에 배포해야 하는지 파악할 수 있도록 지원합니다. 사용자 정의가 가능한 취약점 및 수정 조치 보고서도 이 패키지에 포함되어 있습니다.

공용 콘솔 및 티켓팅 링크

결과는 Critical Start의 자체 플랫폼에 관리형 탐지 알림, 자산 목록 및 보안 통제 격차 정보와 함께 표시됩니다. 또한 이 서비스는 귀사의 티켓 관리 시스템과 연동하여 수정 조치가 완료될 때까지 진행 상황을 추적할 수 있습니다.

요금제

Critical Start의 현재 서비스 페이지에서는 VMS를 MDR 서비스와 동일한 3단계 구조로 분류하고 있습니다. 단계는 Essentials, Enterprise, Signature로 나뉘며, 단계가 올라갈수록 지정된 담당자가 배정되고, 검토 빈도가 높아지며, SLA 이행 약속도 강화됩니다. Critical Start에서 Qualys 라이선스를 제공하는 경우, 견적에는 스캐너와 서비스 비용이 모두 포함됩니다. 가격이 어떤 단위를 기준으로 책정되는지 문의하고, Critical Start 측에 현재 가격을 확인하시기 바랍니다.

계획	가격 책정 모델	현재 가격
필수 사항	팀 기반 서비스, 견적 기반	Critical Start를 통해 확인하십시오
기업	CSM 및 TAM으로 명명되었으며, 견적 기반	Critical Start를 통해 확인하십시오
서명	임원 후원자가 있는 컨시어지 서비스, 견적 기반	Critical Start를 통해 확인하십시오

‘크리티컬 스타트’의 강점

두 가지 서비스가 모두 필요하신 경우, Qualys VMDR과 이를 운영하는 분석가들을 하나의 계약으로 이용할 수 있어 별도의 라이선스 절차를 거칠 필요가 없습니다. 이미 Qualys를 보유하고 계신가요? 이 서비스는 기존 구독을 통해 이용할 수 있습니다. 팀은 완전 관리형 스캔을 선택하거나 직접 스캔 일정을 계속 설정할 수 있으며, Critical Start의 관리형 탐지 서비스를 추가로 구매한 사용자는 경고와 동일한 콘솔에서 취약점 결과를 확인할 수 있습니다.

‘크리티컬 스타트’의 한계

스캐너는 고정되어 있습니다. 이 서비스는 Qualys VMDR을 기반으로 구축되어 있으므로, 다른 스캐너를 표준으로 채택한 팀은 별도의 절차를 거쳐야 합니다. Critical Start의 공개 자료에는 팀이 작업할 수 있는 패치 목록이 설명되어 있을 뿐, 이를 배포하는 방법에 대해서는 언급되어 있지 않습니다. 또한 Critical Start가 공개한 SLA 약관은 대부분 경보 대응 시간을 중심으로 작성되어 있으므로, 계약에 서명하기 전에 이러한 약관이 취약점 대응 업무에 어떻게 적용되는지 확인하시기 바랍니다.

‘크리티컬 스타트’가 누구에게 가장 적합한가

이미 Qualys를 선호하며, 플랫폼을 직접 운영하지 않고도 Qualys의 탐지 범위와 평가 결과를 활용하고자 하는 팀이 가장 적합한 대상입니다. 기존 Critical Start 탐지 서비스를 이용 중인 고객은 알림과 취약점을 한 곳에서 확인할 수 있는 포털을 제공받습니다. 패치 관리를 담당하는 소규모 IT 팀도, 목록을 바탕으로 직접 작업하는 데 문제가 없고 스캔 일정 수립 및 분석은 다른 업체에 맡기고자 한다면 이 서비스에 잘 맞습니다.

Rapid7 관리형 취약점 관리

Rapid7의 관리형 취약점 관리(MVM) 서비스를 이용하면 Rapid7 팀이 고객님의 주문 양식에 기재된 IP 주소를 스캔하고, 매월 고객님과 함께 결과를 검토해 드립니다. 문서화된 서비스 범위는 우선순위 지정 및 지침 제공에 중점을 두고 있으며, 표준 MVM 등급의 경우 고객사 팀에서도 InsightVM 콘솔에서 결과를 확인할 수 있습니다.

제공 내용

월별 스캔 및 보고

Rapid7은 계약된 IP 주소를 매월 정기적으로 스캔하고 월간 서비스 보고서를 제공합니다. 고객과 담당 컨설턴트가 일정을 합의하면, Rapid7의 관리형 운영(Managed Operations) 팀이 스캔 구성, 모니터링, 검증 및 문제 해결을 담당합니다. 기본 등급인 MVM Basic은 최대 2,500개의 IP 주소를 지원하며 Rapid7의 Nexpose 엔진에서 실행됩니다.

지정된 사이버 보안 고문

매월 담당 자문가와 만나 보고서와 지표를 검토하며, 정기적인 사업 검토를 통해 프로그램 동향과 권고 사항을 논의합니다. 또한 자문가는 매월 개선 조치의 우선순위와 지침을 제공하여, 팀이 각 주기마다 어떤 부분부터着手해야 할지 안내합니다.

콘솔 액세스

표준 MVM 등급에서는 팀원이 InsightVM 콘솔을 열어 회의 사이에 결과와 보고서를 확인할 수 있습니다. MVM Basic 등급에는 Rapid7에서 호스팅하는 콘솔에 대한 고객 접근 권한이 포함되어 있지 않습니다.

요금제

Rapid7은 주문 양식에 기재된 IP 주소 수를 기준으로 MVM의 규모를 산정하므로, 견적 금액은 계약하는 IP 주소 수에 따라 달라집니다. 최신 가격 정보를 확인하려면 Rapid7의 MVM 페이지를 통해 문의하시기 바랍니다.

계획	가격 책정 모델	현재 가격
MVM 기본	계약된 IP 주소를 기준으로, 최대 2,500개	Rapid7에 확인하십시오
MVM	계약된 IP 주소별로 범위 지정	Rapid7에 확인하십시오

Rapid7의 강점

Rapid7은 서비스 범위를 문서화하므로, 구체적인 성과물 목록을 바탕으로 견적 내용을 확인할 수 있습니다. 매월 열리는 자문 회의는 팀이 지표를 검토하고 우선순위를 합의할 수 있는 정해진 시간을 제공하며, 콘솔 접근 권한이 부여된 등급의 경우 직원들은 다음 보고서를 기다릴 필요 없이 결과를 자세히 살펴볼 수 있습니다.

Rapid7의 부족한 점

패치 적용은 문서화된 범위 외부에 속합니다. 나열된 제공 항목에는 우선순위 지정 및 지침이 포함되어 있으나, 패치 배포에 대한 내용은 어디에도 언급되어 있지 않습니다. 문서화된 스캔 주기는 월 1회로, 급변하는 환경에서는 간격이 너무 길 수 있으므로 계약상 더 빈번한 스캔이 허용되는지 문의하십시오. 네트워크 관련 예외 사항도 귀사의 책임입니다. 침입 방지 시스템(IP)이나 웹 애플리케이션 방화벽(WAF)이 스캔을 방해할 수 있는 경우, 스캔 엔진의 소스 IP를 허용 목록에 추가하거나 해당 제어 장치가 배치되지 않은 네트워크 위치에서 스캔을 실행해야 하며, Rapid7은 이러한 제어 장치의 확인 작업을 범위 외로 간주합니다.

Rapid7이 가장 적합한 대상은 누구인가요?

특히 정기적으로 스캔을 실행하고 결과를 검토하며, 수정 사항을 적용할 인력이 있는 경우, 소규모 팀을 이끄는 보안 담당자가 이곳에 가장 적합합니다. 이미 패치 관리를 담당하고 있는 IT 관리자는 어드바이저가 제시한 우선순위 목록을 기존에 구축한 프로세스에 바로 반영할 수 있습니다. 이미 InsightVM을 사용하고 있는 팀의 경우, 액세스 권한이 포함된 계층에서는 콘솔이 익숙하게 느껴질 것입니다.

취약점 관리 서비스 제공업체 선정

적합한 서비스 제공업체는 귀사의 팀이 처리할 수 없는 업무가 무엇인지에 따라 달라집니다. 스캔을 실행하고 결과를 순위별로 정리할 시간이 아무도 없다면, Arctic Wolf, Rapid7, Critical Start와 같은 관리형 서비스 제공업체가 이를 맡아 처리해 줄 수 있으며, Arctic Wolf의 Resolve 애드온은 한 걸음 더 나아가 지원되는 소프트웨어에 대한 자동화된 패치 배포 기능까지 제공합니다. 스캐너는 있지만 발견 사항이 계속 쌓여만 간다면, Optiv와 같은 평가 중심 업체가 프로그램을 재구축하는 데 도움을 줄 수 있습니다. 또한 미해결 발견 사항이 수명 종료(EOL) 소프트웨어나 재부팅할 수 없는 리눅스 호스트에 있는 경우, 다음과 같은 수정 파트너가 TuxCare 와 같은 수정 파트너가 해결책을 제공합니다.

귀사의 환경에 대한 지원 종료(EOL) 대응 방안이나 실시간 패치에 대해 상담하시려면 TuxCare 팀에 문의해 주십시오.

자주 묻는 질문